weblogic jsessionid cookie-安全

Question

weblogic.xml：

<session-descriptor>
    <cookie-http-only>true</cookie-http-only>
    <cookie-secure>true</cookie-secure>
</session-descriptor>

HTTPS请求工作正常，但是非SSL协议上的每个请求都会产生一个新的JSessionID。是否有其他设置可以用来有条件地设置cookie-secure？

Answer 1

没有必要使JSESSIONID cookie安全。如果选中Auth Cookie Enabled标志，这是weblogic控制台中的默认值。

将AuthCookieEnabled设置为true，会导致WebLogic服务器实例在通过HTTPS连接进行身份验证时向浏览器发送一个新的安全cookie_wl_authCookie_jsessionid。一旦设置了安全cookie，只有从浏览器发送cookie，才允许会话访问其他受安全限制的HTTPS资源。

因此，WebLogic Server使用两个cookie：JSESSIONID cookie和_wl_authcookie_jsessionid cookie。默认情况下，JSESSIONID cookie从不安全，但_WL_AUTHCookie_JSessionID cookie始终是安全的。只有在使用加密通信信道时才发送安全cookie。假设一个标准的HTTPS登录（HTTPS是一个加密的HTTP连接），您的浏览器将获得这两个cookie。